[Server 2008] Gebruiker kan wachtwoord niet wijzigen.

[demasterbaas]

Ik heb een Server 2008 terminal server draaien die sinds kort wat problemen geeft met de wachtwoorden...

Als ik bij een gebruiker het wachtwoord reset en aanvink "gebruiker moet wachtwoord wijzigen bij volgende aanmelding", komt de volgende keer bij het inloggen keurig de melding dat dat moet gebeuren, maar als ik dat dan doe krijg ik de fout "De gebruikersnaam of het wachtwoord is ongeldig."

Ik kan helaas niet vinden hoe dat komt! In de default domain policy gpo staat alles goed, en die is ook van toepassing op de betreffende ts.

In de log komen de volgende meldingen (meteen na elkaar):

1
Event ID: 4625

code:

Het aanmelden van een account is mislukt.

Onderwerp:
    Beveiligings-id:        NULL SID
    Accountnaam:        -
    Accountdomein:      -
    Aanmeldings-id:     0x0

Aanmeldingstype:            3

Account waarvoor het aanmelden is mislukt:
    Beveiligings-id:        NULL SID
    Accountnaam:        gebruiker1
    Accountdomein:      DOMEIN1

Gegevens over mislukte bewerking:
    Reden van mislukken:        Het wachtwoord van de opgegeven account is verlopen.
    Status:         0xc0000224
    Substatus:      0x0

Procesgegevens:
    Proces-id van aanroeper:    0x0
    Procesnaam van aanroeper:   -

Netwerkgegevens:
    Naam van werkstation:   CLIENT-PC
    Netwerkadres van bron:  -
    Poort van bron:     -

Gedetailleerde verificatiegegevens:
    Aanmeldingsproces:      NtLmSsp 
    Verificatiepakket:  NTLM
    Doorgezette services:   -
    Pakketnaam (alleen NTLM):   -
    Sleutellengte:      0

2
Event ID: 4625

code:

Het aanmelden van een account is mislukt.

Onderwerp:
    Beveiligings-id:        SYSTEEM
    Accountnaam:        TerminalServer1$
    Accountdomein:      DOMEIN1
    Aanmeldings-id:     0x3e7

Aanmeldingstype:            10

Account waarvoor het aanmelden is mislukt:
    Beveiligings-id:        NULL SID
    Accountnaam:        gebruiker1
    Accountdomein:      DOMEIN1

Gegevens over mislukte bewerking:
    Reden van mislukken:        Het wachtwoord van de opgegeven account is verlopen.
    Status:         0xc0000224
    Substatus:      0x0

Procesgegevens:
    Proces-id van aanroeper:    0x153c
    Procesnaam van aanroeper:   C:\Windows\System32\winlogon.exe

Netwerkgegevens:
    Naam van werkstation:   TerminalServer1
    Netwerkadres van bron:  192.168.1.113
    Poort van bron:     65391

Gedetailleerde verificatiegegevens:
    Aanmeldingsproces:      User32 
    Verificatiepakket:  Negotiate
    Doorgezette services:   -
    Pakketnaam (alleen NTLM):   -
    Sleutellengte:      0

Heeft iemand een idee waar ik kan zoeken?? Moet ik een bepaalde service inschakelen?

[CodeCaster]

Die melding klopt ook, iedere foute login wordt in dat event gelogd.

Inkoppertje: tik je wel het oude wachtwoord eerst in bij het scherm voor het nieuwe wachtwoord?

[demasterbaas]

CodeCaster schreef op dinsdag 14 december 2010 @ 00:09:
Die melding klopt ook, iedere foute login wordt in dat event gelogd.

Inkoppertje: tik je wel het oude wachtwoord eerst in bij het scherm voor het nieuwe wachtwoord?

Uiteraard, sterker nog: het staat al ingevuld. Voor de zekerheid heb ik het ook nogmaals getypt. Heb ook als gebruikersnaam domein\gebruiker fqdn\gebruiker en alleen gebruiker geprobeerd... Helpt allemaal niet.

[Nobby]

Account wel geënabled?

Het wachtwoord van de opgegeven account is verlopen.

Lijkt erop dat het wachtwoord niet meer geldig is. Gaat het inloggen zonder aan te hebben gevinkt dat de gebruiker direct zijn ww moet wijzigen wel goed?

[CodeCaster]

Het kan misschien iets te maken hebben met de verlooptijd van het wachtwoord:

quote: http://www.techexams.net/...indows-server-2008-a.html

FYI

There is a bug in W2K8, so basically when you leave "Maximum password age Not Defined" you will get this problem.

It should be defined to 0 (or other value). Since I change the parameter my passwords started to work.

[demasterbaas]

Nobby schreef op dinsdag 14 december 2010 @ 00:22:
Account wel geënabled?

[...]


Lijkt erop dat het wachtwoord niet meer geldig is. Gaat het inloggen zonder aan te hebben gevinkt dat de gebruiker direct zijn ww moet wijzigen wel goed?

Gaat prima, en vanaf een XP client gaat het wijzigen ook prima. Ook met mijn eigen (admin) account kan ik mijn eigen wachtwoord niet veranderen op de 2008 bak. (ook niet via ctrl-alt-end)

[demasterbaas]

CodeCaster schreef op dinsdag 14 december 2010 @ 00:25:
Het kan misschien iets te maken hebben met de verlooptijd van het wachtwoord:


[...]

Tnx voor de tip, staat bij mij (helaas) al op 0.

[demasterbaas]

OPLOSSING:

De klokjes synchroniseren (stonden ca. 3 minuten uit elkaar).

Credits: http://www.vistax64.com/s...ssword-win2k8-server.html

[alt-92]

Dan zal ik als ik jou was gelijk maar eens heel goed naar de rest van je netwerkconfig gaan kijken want binnen een AD is de standaard maximum clock skew (afwijking) voor Kerberos 5 minuten.

als een memberserver zo veel verschil vertoont dan is er óf iets met de hardware, óf iets met je DNS config mis waardoor je w32tm service niet gelijk loopt.